Una empresa puede sufrir una brecha de seguridad de muchas formas: un ataque informático, un ordenador perdido, un correo enviado al destinatario equivocado o incluso un problema de seguridad en una plataforma externa.
Cuando ocurre, hay que actuar rápido.
Pero ¿qué tiene que hacer exactamente una empresa cuando se filtran datos personales?
¿Qué es una brecha de seguridad?
Una brecha de seguridad de datos personales se produce cuando existe una destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales.
Por ejemplo:
- 🔓 Un hacker accede a la base de datos de clientes.
- 💻 Se roba un ordenador con información personal.
- 📧 Se envía por error un Excel con datos de clientes.
- 📱 Se pierde un teléfono utilizado para acceder a información de la empresa.
- 🌐 Se publica accidentalmente una base de datos en Internet.
- 🏢 Un proveedor externo sufre un ataque que afecta a datos de nuestros clientes.
Por tanto, no hace falta que exista un ciberataque para que haya una brecha de datos personales.
1. Detectar y contener el problema
Lo primero es saber qué ha ocurrido y evitar que el incidente continúe.
Por ejemplo:
- Bloquear una cuenta comprometida.
- Cambiar contraseñas.
- Revocar permisos de acceso.
- Desconectar un equipo afectado.
- Recuperar un documento enviado por error.
- Contactar con el proveedor que ha sufrido el incidente.
La prioridad es evitar que se produzcan nuevos accesos o que aumente el número de datos afectados.
2. Averiguar qué datos se han filtrado
No todas las brechas tienen el mismo impacto.
Hay que identificar:
- 👥 Cuántas personas están afectadas.
- 📄 Qué datos se han visto comprometidos.
- 🔐 Si se han filtrado credenciales.
- 🪪 Si aparecen documentos de identidad.
- 💳 Si existen datos económicos o bancarios.
- 🏥 Si se han visto afectados datos de salud.
- 📍 Si se ha expuesto información sobre ubicación o desplazamientos.
- 🌐 Quién ha podido acceder a la información.
Una filtración de nombres y correos electrónicos no tiene necesariamente las mismas consecuencias que una filtración de DNI, contraseñas o datos médicos.
3. Valorar el riesgo
Una vez sabemos qué ha ocurrido, hay que preguntarse:
¿Qué consecuencias puede tener esta brecha para las personas afectadas?
Aquí entran en juego factores como el tipo de datos, el número de afectados, quién ha podido acceder a ellos y el posible uso que pueda hacerse de la información.
Por ejemplo, una base de datos con nombres, teléfonos y correos electrónicos puede utilizarse para realizar campañas de phishing o fraude.
4. ¿Hay que comunicar la brecha a la AEPD?
No todas las brechas tienen que notificarse.
Si la brecha puede suponer un riesgo para los derechos y libertades de las personas, el responsable del tratamiento debe notificarla a la autoridad de control competente.
Cuando corresponde a la AEPD, el plazo general es de 72 horas desde que el responsable tiene constancia de la brecha.
Y si todavía no se dispone de toda la información, no necesariamente hay que esperar a conocer todos los detalles para actuar.
La guía de la AEPD para gestionar una brecha de seguridad
Si tu empresa sufre una brecha de datos personales y no tienes claro cómo actuar, la Agencia Española de Protección de Datos (AEPD) dispone de una guía específica sobre gestión y notificación de brechas de seguridad.
La guía explica cómo identificar y analizar una brecha, valorar el riesgo para las personas afectadas y determinar las actuaciones que debe llevar a cabo la empresa.
👉 [Consultar la Guía de gestión y notificación de brechas de seguridad de la AEPD]
Es un recurso especialmente útil para tener a mano dentro del procedimiento interno de gestión de incidentes de la empresa.
5. ¿Hay que avisar a los clientes?
Puede ser necesario.
Cuando la brecha pueda suponer un alto riesgo para los derechos y libertades de las personas, el responsable debe comunicarla también a los afectados, salvo que se dé alguna de las excepciones previstas en el RGPD.
La comunicación debe explicar, de forma clara, qué ha ocurrido, qué datos pueden estar afectados y qué pueden hacer las personas para protegerse.
¿Y si la brecha se produce en un proveedor?
Este caso merece especial atención.
Imaginemos que una empresa utiliza una plataforma de reservas y esa plataforma sufre un ataque que afecta a los datos de sus clientes.
Que el incidente se haya producido en los sistemas de un tercero no significa automáticamente que nuestra empresa pueda desentenderse.
Hay que analizar:
- Qué datos estaban en poder del proveedor.
- Qué tratamiento realizaba.
- Qué relación existe entre la empresa y el proveedor.
- Qué información ha quedado expuesta.
- Qué obligaciones corresponden a cada parte.
Por ejemplo, si el tercero actúa como encargado del tratamiento, debe informar al responsable de cualquier brecha de seguridad de la que tenga conocimiento sin dilación indebida.
6. Documentar lo ocurrido
Aunque finalmente se determine que no es necesario notificar la brecha a la AEPD, el incidente debe quedar documentado.
Conviene dejar constancia de:
📅 Cuándo ocurrió y cuándo se detectó.
📋 Qué datos estaban afectados.
👥 Cuántas personas podían estar implicadas.
⚠️ Qué riesgos se identificaron.
🛠️ Qué medidas se adoptaron.
📨 Si se notificó a la AEPD.
📢 Si se informó a las personas afectadas.
Esta documentación permite demostrar que la empresa ha analizado correctamente el incidente y ha tomado las medidas necesarias.
En resumen: ¿qué hago ante una filtración?
Detectar → contener → identificar → valorar el riesgo → documentar → notificar si corresponde → informar a los afectados cuando sea necesario.
Y una última cuestión importante:
No esperes a sufrir una brecha para decidir qué hacer
Una empresa debería tener previamente definido quién detecta y comunica los incidentes, quién realiza la valoración del riesgo y quién se encarga de las posibles notificaciones.
Cuando el incidente ya se ha producido, tener este procedimiento preparado puede marcar la diferencia.
Importante: este artículo tiene finalidad informativa y no sustituye el análisis jurídico de una brecha concreta. Las obligaciones de notificación y comunicación deben determinarse atendiendo a las circunstancias específicas de cada incidente.
